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Was Sie in diesem essential finden 
können 


e Eine Untersuchung des Begriffs der Datensouveränität sowie der mit ihm 
verknüpften rechtlichen und moralischen Ansprüche 

e Analysen zum Dynamic Consent als Umsetzungsmechanismus von Datensou- 
veränität 

e Governance-Empfehlungen für die Ermöglichung von Datensouveränität 


Im vorliegenden Dokument werden wir zwischen den unterschiedlichen 
Geschlechterbenennungen wechseln. Die anderen Geschlechter sind jeweils in 
gleicher Weise mitgemeint. 

Dieses essential ist im Rahmen des vom Bundesgesundheitsministerium geför- 
derten Drittmittelprojekts „Datensouveränität in klinischen Big-Data-Regimes“ 
(DABIGO ZMV/1 — 2517 FSB 013) entstanden. Der Förderer hatte keinen 
Einfluss auf Inhalte, Analysen und Ergebnisse des vorliegenden essentials. 


Einleitung 


Souveränität ist ein häufig verwendeter Begriff, wenn es um die Analyse und 
Gestaltung digitaler Prozesse und Veränderungen geht. So hat beispielsweise die 
deutsche EU-Ratspräsidentschaft 2020 digitale Souveränität zu einem ihrer Leit- 
begriffe erklärt [1]. Andere sprechen von Souveränität im Umgang mit Daten, 
von Souveränität im Cyberspace oder auch von virtueller Souveränität. Bei 
allen Unterschieden im Detail lässt sich ein zentraler gemeinsamer Fokus aus- 
machen: Wie können in digitalen Gesellschaften Freiheitsräume gesichert und 
fortentwickelt werden? 

Daten spielen hierbei eine zentrale Rolle. Das zeigt sich anschaulich im 
Gesundheitsbereich. Ob Tracing Apps im Rahmen der Pandemiebekämpfung, 
elektronische Patientenakten oder die medizinische Diagnostik unterstiitzende 
Gesundheits-Apps: Es besteht ein grundlegendes rechtliches und ethisches Span- 
nungsverhältnis. Denn auf der einen Seite dienen solche Anwendungen dem 
Gesundheits- und Lebensschutz. Gesundheitsdaten zu analysieren und zu verwen- 
den, trägt in dieser Perspektive gerade zu einem selbstbestimmten Leben bei. Auf 
der anderen Seite können mit den aus Daten gewonnenen Erkenntnissen negative, 
freiheitsbeeinträchtigende Konseguenzen verbunden sein. 

Die sich hieraus ergebenden ethischen, rechtlichen und gesellschaftlichen 
Herausforderungen werden nachfolgend untersucht und es werden konkrete Hand- 
lungsvorschläge unterbreitet. Als Referenzpunkt fiir dieses Analyse-, Gestaltungs- 
und Regelungskonzept schlagen wir den Begriff der Datensouveränität vor. Wir 
verwenden den Begriff pragmatisch-konstruktiv. Wir beschreiben und untersu- 
chen, wie ein weiterentwickeltes Konzept informationeller Selbstbestimmung 
verstanden und umgesetzt werden kann. Ziel ist es, auch in Zeiten von Big 
Data und Kiinstlicher Intelligenz (KT) ein angemessenes Verhältnis von Privatheit 
und Offenheit sicherzustellen. Vor dem Hintergrund dieser Zielsetzung werden 
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VIII Einleitung 


Governance-Ansätze zur praktischen Umsetzung von Datensouveränität unter den 
Bedingungen von Big-Data und KI entwickelt. 

Zu diesem Zweck wird zunächst in Kap. 1 untersucht, was genau mit einem 
souveränen Umgang mit Daten gemeint sein kann. Wir untersuchen, welche Vor- 
stellungen, aber auch welche rechtlichen und moralischen Anspriiche artikuliert 
werden, wenn von Souveränität im Umgang mit Daten die Rede ist. Diese Vor- 
stellungen und Anspriiche werden nicht in einem luftleeren Raum diskutiert, 
sondern sind an bestimmte grundrechtliche Vorgaben und werthaltige Vorstellun- 
gen gekoppelt. Wir werden begriinden, warum und inwiefern Datensouveränität 
an die Bewahrung, Gestaltung und Ermöglichung von Freiheit gebunden sein 
muss. 

In Kap. 2 argumentieren wir, dass der gebotene Ausgleich von Privatheit 
und der gemeinschaftlichen Nutzung von Daten unter Bedingungen von Big 
Data und KI funktional tiber dynamische Finwilligungs- und Kontrollmöglichkei- 
ten zu erreichen ist. Wir plädieren also dafür, bestehende Schutzkonzepte nicht 
aufzugeben, sondern kontextadäguat weiterzuentwickeln. 

Den konzeptionellen Uberlegungen zur Datensouveränität und ihrer Umset- 
zung folgt in Kap. 3 ein Vorschlag fiir Governance-Ansätze fiir den Gesundheits- 
bereich. Hier entwickeln wir Empfehlungen auf den vier Ebenen von Hard Law, 
Soft Law, Teilhabe und IT. 
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Datensouveränität als informationelle 
Freiheitsgestaltung 


1.1 Souveränität im digitalen Raum 


Daten können die Grundlage fiir nutzenbringende Innovationen und technolo- 
gischen Fortschritt sein. Intensive Datennutzung und automatisierte Entschei- 
dungsfindung können jedoch in Spannung zu den Rechten und Interessen der 
sie betreffenden Individuen stehen. In den vergangenen Jahren tritt Souveränität 
als Leitkonzept im Kontext der Digitalisierung immer häufiger in Erscheinung [2, 
3]. So werden beispielsweise Forderungen nach Digitaler Souveränität [4] und 
Datensouveränität [5, 6] laut. 

Die Begriffsverwendung ist dabei nicht immer einheitlich. Eine ganze Reihe 
von Konnotationen, Anspriichen und Zielsetzungen werden unter dem Schlag- 
wort Souveränität in digitalen Räumen verhandelt. Meist ist jedoch die Kontrolle 
von Daten, Zugang, Verarbeitung und Infrastrukturen zumindest mit angespro- 
chen. Souverän können in diesem Sinne sowohl Nationen als auch Individuen 
sein. So wird Souveränität im Zusammenhang mit dem Versuch staatlicher Regu- 
lierung des Internets [7] ebenso wie mit Gesundheitsdaten von Individuen [6] 
thematisiert. In Cloud-Anwendungen geht es bei Datensouveränität um die räum- 
liche Lokalisierung von Daten [8] und das Wissen um die damit verbundenen 
rechtlichen Rahmenbedingungen [9], beispielsweise zum Zugriff Dritter und/oder 
staatlicher Institutionen — mit Implikationen för die nationale Sicherheit, wenn 
staatliche Organisationen Cloud-Anwendungen nutzen [10]. 

In einer systematischen Studie haben wir untersucht, was unter dem Begriff 
der Datensouveränität verstanden wird, welche normativen Anspriiche welcher 
Akteure verhandelt werden und welche Herausforderungen sich dadurch stellen 
[11]. Uber die unterschiedlichen Publikationen hinweg ist auffällig, dass sehr 
unterschiedliche Akteurinnen als potentiell datensouverän verstanden werden: von 


O Der/die Autor(en) 2021 1 
P. Hummel et al., Datensouveränität, essentials, 
https://doi.org/10.1007/978-3-658-33755-1 1 


2 1 Datensouveränität als informationelle Freiheitsgestaltung 


Konsumenten tiber bestimmte Populationen bis hin zu Ländern. Ebenso vielfältig 
sind die Kontexte, in denen Datensouveränität diskutiert wird. Sie umfassen die 
Gestaltung von IT-Systemen ebenso wie Gesetzgebung und Forschung. In diesen 
Kontexten werden im Zusammenhang mit Datensouveränität Aspekte wie Kon- 
trolle und Macht, Privatheit, Deliberation, Partizipation und weitere normative 
Konzepte thematisiert. Schon bei der basalen Frage, um was es sich bei Daten- 
souveränität eigentlich handelt, variieren die Bestimmungen der Autorinnen meist 
stillschweigend und ohne explizite Sichtbarmachung oder Auseinandersetzung 
mit alternativen Ansätzen: Um nur wenige Beispiele zu nennen, wird Datensou- 
veränität als ein Recht oder Anspruch des Akteurs, als eine Fähigkeit oder als aus 
Gesetzgebung resultierender Zustand begriffen. 

Auch auBerhalb des Kontexts der Digitalisierung ist Souveränität ein schil- 
lerndes und kontrovers diskutiertes Konzept. In der Ideengeschichte ist sie immer 
mit Machtanspriichen verbunden, wobei sie vor allem in der Politischen Theo- 
rie Staaten zugeschrieben wird. Autoren weisen ferner auf die Fiktionen und 
Imaginationsprozesse hin, die mit der Zuschreibung von Souveränität und der 
mit ihr einhergehenden Macht und Repräsentation verbunden sind [12]. So ist 
der Souverän auf dem Frontispiz von Hobbes’ Leviathan aus seinen Untertanen 
zusammengesetzt. Seine Macht leitet sich aus einem Moment der Stellvertretung 
der Untertanen ab. Zuweilen wird bezweifelt, ob Souveränität ein fruchtbares 
Konzept fiir politische Diskurse sein kann, weil sie einen vermeintlich unwie- 
derbringlichen Machttransfer zwischen Volk und Souverän reflektiert [13]. Eine 
weitere Kontroverse betrifft die Frage, ob Souveränität spannungsfrei mit trans- 
nationaler Integration, z. B. in der Europäischen Union [14], zusammengedacht 
werden kann, welche die Souveränität einzelner Staaten prima facie beschneidet. 

Unter anderem in den Vereinigten Staaten, Kanada und Australien wird Daten- 
souveränität im Umgang mit Daten von Angehörigen indigener Volker diskutiert. 
Indigenous Data Sovereignty [15] hat mit den soeben skizzierten Verwendungen 
von Datensouveränität gemein, dass die Kontrolle tiber die Erhebung, Analyse und 
Interpretation von Daten zentral ist. Besonders auffallend ist dabei, dass Indige- 
nous Data Sovereignty als die Erweiterung bzw. Spezifizierung eingeforderter oder 
bereits vollzogener, rechtlich verbindlicher Formen von Anerkennung indigener 
Gemeinschaften, Völker und/oder Nationen verstanden wird [16—19]. 

Wohlwissend um die variierenden Hintergriinde und Verständnisse des Begriffs 
in der Literatur werden wir einen spezifischen Fall von Datensouveränität in den 
Blick nehmen und entfalten: die Datensouveränität von Patientinnen im deutschen 
Gesundheitswesen. 
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1.2 Datensouveränität 


Souveränität beinhaltet Anspriiche auf Macht und Kontrolle, die an wechselsei- 
tigen Zuschreibungen und Anerkennungsverhältnissen ankniipfen. Unter Daten- 
souveränität verstehen wir im Folgenden die Souveränität von Akteuren tiber 
die Verwendung von Daten. Datensouverän sind diese Akteure dann, wenn sie 
zur Ausiibung von Kontrollanspriichen rund um die Verwendung sie betreffender 
Daten befähigt sind. Fiir datensouveräne Akteure soll kontrollierbar bleiben, wer 
Zugriff auf diese Daten hat, zu welchen Zwecken sie von wem verarbeitet wer- 
den dirfen, und vor allem wie Zugang und Verarbeitung die Freiheitsvollziige der 
Akteure beeinflussen. Datensouveränität umfasst dabei folgende Aspekte (siehe 
Abb. 1.1): 


e Normativität: Als normatives Ankerkonzept ist Datensouveränität mit der For- 
derung verbunden, datenverarbeitende Technologien und deren Anwendung so 
zu gestalten, dass Datensouveränität der betroffenen Akteure ermöglicht wird. 

e Individualfokus: Datensouverän können sowohl Individuen als auch Organi- 
sationen oder Kollektive sein. Im Folgenden beschäftigen wir uns mit der 
Datensouveränität von Individuen. 

e Grundrechtsbezug: Wie Souveränität kann auch Datensouveränität eingefor- 
dert, zugesprochen, anerkannt und kritisiert werden. Bezugspunkte fiir die 
Bewertung solcher individuellen Anspriiche sind im vorliegenden Kontext die 
Grundrechte, insbesondere das allgemeine Persönlichkeitsrecht und das Recht 
auf informationelle Selbstbestimmung. 

e Kontrollierbarkeit: Datensouveränität schließt ein, Daten schützen und Rück- 
wirkungen auf individuelle Freiheit unterbinden zu können, erschöpft sich 
darin jedoch nicht. Sie schließt ferner ein, dass das Individuum Daten gemäß 
seinen Präferenzen teilen und für Datenverarbeitung freigeben kann. Solche 
Entscheidungen können sowohl aus Eigeninteresse erfolgen als auch auf ein 
Gemeinwohl abzielen. 

e Multidimensionalität: Datensouveränität von Individuen hängt von einer gan- 
zen Reihe von Governance-Mechanismen ab, die später auf den vier Ebenen 
Hard Law (3.1), Soft Law (3.2), Teilhabe (3.3) und IT (3.4) behandelt werden. 


Datensouveränität bezeichnet in diesem Sinne die individuelle Kontrollierbarkeit 
von Daten und deren Verarbeitung: die Möglichkeit und Befähigung zu steuern, 
wer Zugang hat, wofür Daten verarbeitet werden und welche Konsequenzen sich 
auf die Freiheitsräume des Individuums ergeben. Diese Freiheitsräume sind nicht 
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Abb.1.1 Fokus und Dimensionen von Datensouveränität 


einfach vorhanden, sondern miissen eben gerade im digitalen Raum aufrechterhal- 
ten, gestaltet und mitunter verteidigt werden. Als zentrales Element der Sicherung 
individueller Freiheitsräume bedarf es der konkreten Möglichkeit, Kontrolle iiber 
Riickschliisse und Rtickwirkungen aus der Nutzung, Analyse und Prädiktion von 
Daten zu haben. Warum eine solche Kontrolle geboten ist, wie sie verstanden 
und nicht zuletzt wie sie einer Gestaltung zugefiihrt werden kann, wird zentraler 
Gegenstand dieser Analyse sein. 
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1.3 Die Probleme der aktuellen Input-Orientierung von 
informationeller Selbstbestimmung 


Ein etablierter Mechanismus zur Wahrung von individuellen Freiheitsräumen ist 
der Datenschutz. Allerdings ist ein zentrales Problem, dass angesichts der Funk- 
tionsweisen und Prinzipien von Big-Data-Anwendungen und KI ausschließlich 
input-orientierte Datenschutzprinzipien die Kontrollierbarkeit von Datenverarbei- 
tung nicht mehr sicherstellen können. Mit Input-Orientierung ist gemeint, dass 
diese Prinzipien am Beginn von Datenverarbeitungsprozessen ansetzen. Willigt 
das Individuum zum Beispiel im Wissen um den Zweck der Verarbeitung seiner 
personenbezogenen, medizinischen Daten ein, so können diese Daten verarbei- 
tet werden (Art. 9 Abs. 2 Nr. 1 DSGVO). Das Beispiel räckt mindestens drei 
Bezugspunkte in den Mittelpunkt, an welchen input-orientierte Datenschutzprin- 
Zipien ansetzen: erstens der Zweck der Verarbeitung, zweitens die Sensibilität der 
Daten (hier: Gesundheitsdaten) und drittens der Personenbezug. Alle drei sind 
jedoch problembehaftet. 

Erstens können Verarbeitungszwecke in Big-Data-Anwendungen allenfalls 
grob umrissen werden. Ein Spezifikum von Big Data ist das Zusammenfiihren 
sowie die De- und Rekontextualisierung von Daten, um unvorhergesehene Beziige 
[20] zu erkennen. 

Zweitens sind Gesundheitsdaten eine fluide und a priori kaum eingrenzbare 
Kategorie geworden. Big Data und KI basieren darauf, Daten verschiedener Spha- 
ren zusammenzuführen. So erlauben beispielsweise Tracing Apps Rückschlüsse 
auf ein Gesundheitsrisiko auf Basis der systematischen Analyse von Daten, die für 
sich genommen keine oder allenfalls begrenzte medizinische Aussagekraft haben, 
beispielsweise Aufenthalts- und Bewegungsdaten. 

Drittens ist auch Personenbezug ein unscharfes Kriterium geworden. 
Durch die Zusammenführung von Datensätzen können auch zunächst nicht- 
personenbezogene Daten einen Personenbezug erlangen. Paradigmatisch sei hier 
die Forschung von Latanya Sweeney angeführt, die bereits 2000 — also weit vor 
der heutigen Akzeleration und Vertiefung digitaler Verarbeitung — zeigen konnte, 
dass 87 % der Einwohner der Vereinigten Staaten durch die Kombination von 
Postleitzahl, Geschlecht und Geburtsdatum eindeutig individuiert werden kön- 
nen [21]. Unter Big-Data- und KI-Bedingungen sind Re-Personalisierungen noch 
wahrscheinlicher, da mehr Daten aus den verschiedensten Kontexten zugänglich 
werden und miteinander in Beziehung gesetzt werden können [22]. 

Von dieser Möglichkeit ganz abgesehen ist ferner zu berücksichtigen, dass 
nicht-personenbezogene Daten in aggregierter Form die Generierung von Hypo- 
thesen über Populationen erlauben. Korrelationsmuster können auf diese Weise 
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generiert werden, ohne dass personenbezogene Daten notwendig sind. Sobald ein 
Individuum jedoch der Population zugeordnet wird, kann es selbst auch im Lichte 
dieser Hypothesen betrachtet werden. Aus diesem Grund fordern Autoren neben 
der Privatheit von Individuen auch Gruppen-Privatheit als genuine, nicht auf indi- 
viduelle Privatheit reduzierende Kategorie in den Fokus zu riicken [23, 24]. Dies 
zeigt: Finwilligung beim Input personenbezogener Daten zu fordern, greift zu 
kurz. 

Traditionelle Datenschutzprinzipien stehen vor von ihnen nicht mehr 
zu bewältigenden Herausforderungen. Wenn beispielsweise auch von nicht- 
personenbezogenen und/oder nicht-gesundheitsbezogenen Daten Riickschliisse 
auf die Gesundheit von Einzelpersonen wie auch Populationen möglich sind, 
erfiillen bloB input-orientierte datenschutzrechtliche Normen nicht mehr die Funk- 
tion, intime Daten und Freiheitsräume zu schiitzen und zugleich die Potentiale von 
Big Data zu nutzen. 

Vor diesem Hintergrund hat der Deutsche Ethikrat in seiner Stellungnahme 
„Big Data und Gesundheit“ [6] vorgeschlagen, Datensouveränität als informa- 
tionelle Freiheitsgestaltung zu verstehen. Die Grundidee der informationellen 
Freiheitsgestaltung wurde dabei bisher unter dem Terminus der informationel- 
len Selbstbestimmung behandelt. Informationelle Selbstbestimmung tritt 1983 im 
Volkszählungsurteil des Bundesverfassungsgerichts als Aspekt des im Grundge- 
setz formulierten Allgemeinen Persönlichkeitsrechts in Erscheinung [25]: Kon- 
trollanspriiche iiber persönliche Daten leiten sich aus der Bedeutung einer 
individuellen privaten Sphäre ab, welche zur Entfaltung der Persönlichkeit der 
Bürgerinnen und schließlich auch für den demokratisch legitimierten Staat 
funktionsnotwendig ist. 

Informationelle Freiheitsgestaltung geht insofern über informationelle Selbst- 
bestimmung hinaus, als sie mehr als ein bloßes Ausschlussrecht meint. Vielmehr 
umfasst sie ebenso eine „Befugnis, selbst zu bestimmen, mit welchen Inhalten 
jemand in Beziehung zu seiner Umwelt tritt. Informationelle Freiheitsgestaltung 
in diesem Sinne meint interaktive Persönlichkeitsentfaltung unter Wahrung von 
Privatheit in einer vernetzten Welt und ist gekennzeichnet durch die Möglichkeit, 
auf Basis persönlicher Präferenzen effektiv in den Strom persönlich relevan- 
ter Daten eingreifen zu können“ [6]. Was folgt daraus für das Konzept der 
Datensouveränität? 

Datensouveränität ist darauf ausgerichtet, individuelle Freiheitsvollzüge unter 
Bedingungen von Big Data und KI zu gewährleisten und zu ermöglichen. Sie 
beinhaltet sowohl die Möglichkeit, sich vor Eingriffen in die Freiheit zu schützen 
— und geschützt zu werden — als auch die Möglichkeit Freiheit zu leben und 
auszudrücken, beispielsweise in der Gabe von Daten für kollektive Ziele. 
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1.4 Schutz eigener Daten als Aspekt von 
Datensouveränität 


Zunächst kann Datensouveränität mit einer abwehrrechtlichen Perspektive ver- 
kniipft sein, die den Schutz individueller Freiheitsrechte fokussiert. In diesen 
Entscheidungskontexten haben Individuen nicht nur ein Interesse am Schutz von 
Daten, sondern sind fiir die Möglichkeit freiheitlicher Vollziige auf Räume des 
Nichtwissens angewiesen. Die mit Datensouveränität verbundenen Kontrollan- 
spriiche schlieBen daher die Möglichkeit mit ein, Privatheit [26] zu schiitzen und 
Daten abschirmen zu können. Erst vor dem Hintergrund solch negativ-protektiver 
Aspekte von Selbstbestimmung sind gehaltvolle Entscheidungen tiber die eigenen 
Daten möglich. 

Bei Daten mit medizinischer Relevanz handelt es sich um besonders sensible 
Daten, deren Verarbeitung Freiheitsräume verengen können. Datensouveränität 
kann daher mit Anspriichen einhergehen, Gesundheitsdaten vor Zugriffen zu 
schiitzen, d. h. Privatheit im Sinne eines Rechts in Ruhe gelassen zu werden [27] 
durchzusetzen. Zwar abstrahiert das solidarische Gesundheitssystem ganz bewusst 
vom individuellen Risikoprofil und sieht gleichen Zugang und Versorgung fir 
alle vor. Doch selbst unter diesen Vorzeichen sind Szenarien denkbar, in denen 
die Verfügbarmachung von Gesundheitsdaten Einfluss auf Versicherungsleistun- 
gen hat, beispielsweise wenn durch Anreize zum Teilen von Gesundheitsdaten 
mit dem Versicherer de facto diejenigen einen Malus erleiden, die an solchen 
Programmen nicht teilnehmen möchten [6]. Zudem wirken der Solidargedanke 
und die damit verbundene Abstraktion von Risikoprofilen weniger in Gesund- 
heitssystemen mit stärker stratifizierten Versicherungsprämien. Unabhängig von 
möglichen Implikationen für Versicherungsstatus und Versorgung weisen Kom- 
mentatorinnen insbesondere im Hinblick auf klinische Big-Data-Forschung darauf 
hin, dass sich Individuen ausgebeutet fühlen und Vertrauensverluste verursacht 
werden könnten, wenn private Datenverarbeiter auf Basis verfügbar gemachter 
Daten hohe Profite erzielen, ohne Studienteilnehmerinnen oder Patientinnen bzw. 
Patientenkollektive daran zu beteiligen und in die Steuerung von Forschungs- 
prozessen einzubinden [28]. Schließlich können Individuen auch in anderen 
Bereichen ein Interesse an der Vertraulichkeit von Gesundheitsdaten haben, sei 
es bei weiteren Versicherungsleistungen, gegenüber dem Arbeitgeber oder im 
Privatleben. 

Datensouveränität erfordert, dass Daten bestimmten Individuen zugeschrie- 
ben werden können, d. h. definiert ist, über welche Daten sie souverän sein 
und berechtigte Kontrollansprüche stellen können. Fragen, welche Kontroll-, 
Ausschluss- und Verwertungsrechte welches Individuum an welchen Daten hat 
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und haben sollte, sind zentraler Bestandteil der Debatte, ob es ein Eigentum an 
Daten gibt [29]. Im Zentrum stehen Anspriiche wie Partizipation in Deliberations- 
und Steuerungsprozessen sowie die Beteiligung der Subjekte an der Generierung 
ökonomischen Werts, die durch die Verarbeitung „ihrer“ Daten ermöglicht wird. 
An einem Ende des Spektrums fordern Autoren die Vergiitung von Datensubjek- 
ten in genau der Höhe, in der sie und ihre Daten zur Wertsteigerung beitragen 
[30]. Am anderen Ende des Spektrums fordern andere, dass zumindest manche 
Datensorten, beispielsweise genomische Daten [31], zunächst als der Allgemein- 
heit oder Offentlichkeit gehörendes Gut zu betrachten sind, beispielsweise weil 
das Individuum keine produktive Kraft in die Generierung dieser Daten eingeführt 
hat. Individuelle und gemeinschaftliche Anspriiche an Datenverwertung können 
sich also gegentiberstehen und verlangen nach Aushandlungsprozessen, in denen 
ihr Verhältnis austariert wird. 

Auch aus rechtlicher Perspektive wird intensiv tiberlegt, wie Rahmenbedingun- 
gen fiir solche Aushandlungsprozesse aussehen können. Argumentiert wird zum 
Beispiel, dass das Datenschutzrecht den betroffenen Personen, also den Perso- 
nen, auf die sich die bearbeiteten Daten inhaltlich beziehen, bereits heute eine 
Rechtsposition verschafft, die einem Eigentum an Personendaten — im Sinne 
eines übertragbaren Ausschließlichkeitsrechts — zumindest nahekommt. Auch 
konkrete Regelungsoptionen wurden bereits vorgestellt. Zu den denkbaren Vari- 
anten zählt dabei zum einen eine tatsächliche „eigentumsnahe“ Ausgestaltung, 
die Personendaten in die bestehende Eigentumsordnung zu inkorporieren versucht 
[32, 33]. Zum anderen wird aber — wohl erfolgversprechender, da die genann- 
ten Unterschiede zwischen den klassischen Eigentumsobjekten und Daten doch 
schwer wiegen — darüber nachgedacht, wie ein „originäres Immaterialgüterrecht 
sui generis an verhaltensgenerierten Informationsdaten der Bürger“ [34] ausse- 
hen könnte, das den „Nutzern als Datenproduzenten ein eigentumsrechtliches 
Abwehr- und Vermögensrecht“ ([35], vgl. für einen anderen Zuordnungsansatz 
[36]) verschaffen soll. 


1.5 — Verfiigbarmachung von Daten als Ausdruck von 
Datensouveränität 


Datensouveränität ist nicht auf negativ-protektive Aspekte beschränkt. Als soziale 
und vernetze Wesen haben Datensubjekte nicht nur ein Interesse an der Beschrän- 
kung von Informationsflüssen, sondern lassen sie zu, erwarten und benötigen 
sie. Zu Datensouveränität befähigt zu sein schließt die Artikulation und Durch- 
setzung positiv-partizipativer Ansprüche ein, um die jeweils eigene Balance 
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zwischen der Abschirmung und dem kontrollierbaren Verfügbarmachen von Daten 
zu wählen und in Aushandlungsprozesse einzubringen. Wenn Daten bewusst 
bestimmten Zwecken zugefiihrt werden können, ermöglicht dies Teilhabe an 
datengetriebenen Koordinations-, Erkenntnis- und Innovationsprozessen. Insoweit 
bestehen durchaus Uberschneidungen zwischen dem aktuellen Data-Governance- 
Vorschlag der EU-Kommission (COM[2020] 767 final), der u. a. das Konzept des 
Datenaltruismus stark macht, und unserem Verständnis von Datensouveränität. 

Durch das Teilen von Daten können Individuen den in der informationellen 
Freiheitsgestaltung angedeuteten Ausdruck der Persönlichkeit sowie individuel- 
ler Auffassungen und Werte praktisch werden lassen. So kann man zum Beispiel 
Solidarität als einen gemeinsamen Willen fassen, Kosten in einem weiten Sinne 
— also finanzielle, sozial-emotionale oder andere Kosten — gemeinsam zu tragen, 
um anderen zu helfen [37]. Das Teilen von medizinischen Daten kann folglich 
insofern als solidarisches Handeln verstanden werden, als es einen notwendi- 
gen Beitrag zu Forschungsprozessen liefert, wodurch Wissen generiert und neue 
Erkenntnisse gewonnen werden können. Die Gabe und Spende von Daten zu 
Forschungszwecken kann dabei als Ausdruck individueller Freiheitsvollzüge ver- 
standen werden. Zugleich ist zur Verwirklichung von Freiheit ein gemeinsamer 
Gestaltungsrahmen nötig. Ohne die Möglichkeit, zu drängenden gesellschaftli- 
chen Herausforderungen zu forschen und neue Erkenntnisse zu gewinnen, wären 
individuelle Freiheitsvollzüge stark gefährdet. 

Digitalisierung im Gesundheitssektor könnte so den Raum für neue gesell- 
schaftliche Solidaritätsmuster eröffnen [6]. Die Option, Daten für die Forschung 
zur Verfügung zu stellen, kann ferner als Komponente der Teilhabe an For- 
schungsprozessen gesehen werden, wie sie Befürworter einer citizen science und 
eines human right to science [38] einfordern. 

Fine besondere Form des Teilens von Daten ist die Datenspende, verstanden 
als die Gabe [39-41] von Daten [42]. Manche Akte des Gebens zielen auf einen 
Effekt bzw. eine Gegenleistung. Das Geben von Gesundheitsdaten kann aus der 
Motivation heraus geschehen, die eigene Behandlung zu optimieren. Akte des 
Gebens gehen jedoch nicht vollends in solchen Motivationen auf. Verschiedene 
Gabe-Theorien weisen darauf hin, dass Gaben zwar kein voraussetzungsloses 
Geben darstellen, jedoch nicht, oder nicht primär, auf Gegenleistung abzielen. 

In den vorherigen Fallbeispielen tritt klar zutage: Natiirlich kann eine Gesell- 
schaft von datenintensiven Anwendungen profitieren, z. B. wenn digitale Epi- 
demiologie friihzeitig Spielräume fiir Vorsorge- und GegenmaBnahmen eröffnet. 
Datengetriebene biomedizinische Forschung im Allgemeinen kann ungeachtet 
eines gewissen Hypes [43-45] zu Erkenntnisgewinnen und Innovationen füh- 
ren, die die Lebensqualität aller steigern und die Versorgung im gesamten 
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Gesundheitssystem verbessern, ohne dass es eine Garantie fiir einzelne Patienten 
gibt. 

Gaben enthalten Stiftungselemente, die sich auf Anerkennung und die Kniip- 
fung eines sozialen Bandes beziehen. Solche Stiftungselemente können an ein 
konkretes Gegeniiber oder ein unkonkreteres Gemeinwohl gerichtet sein. Gaben 
eröffnen neue Möglichkeitsräume und sind der Souveränität der Individuen 
zuträglich, insofern sie soziale Strukturen stärken, in denen individuelle Lebens- 
vollziige eingebettet sind. Gerade weil sich die Gabe einer solchen Reziprozität 
verwehrt, kann sie nicht genötigt oder durch Anreize erzeugt werden. Mit Gaben 
können Prekarität und Unsicherheit verbunden sein, da zunächst offenbleibt, 
welche Folgen die Gabe hat und ob Stiftungselemente anerkannt und erwidert 
werden. Mit Gaben kann ein soziales Band geknüpft werden, sie können jedoch 
auch Asymmetrien verstärken, Vulnerabilitäten exponieren, hinter Erwartungen 
zuriickbleiben oder als Ubergriff empfunden werden. Mit der Gabe von Daten ist 
somit nicht klar, ob sie zum Gemeinwohl beitragen oder Ungerechtigkeiten expo- 
nieren werden. Obwohl die Gabe von Daten also intentional erfolgt, markiert sie 
zugleich einen gewissen Kontrollverlust fiir den Gebenden. Selbst wenn sich ein 
Subjekt beim Transfer der Gabe nicht genötigt oder gar tibergangen fühlt, sondern 
freiwillig eingewilligt hat, kann es auch nach dem Akt des Gebens Erwartungen 
an den Umgang mit dem Gegebenen haben. 

Gaben können auf ganz verschiedene Weisen gegeben werden und ganz ver- 
schiedene Giiter betreffen. In aktuellen Debatten wird der Begriff der Datenspende 
zuweilen als Paraphrase fiir Broad Consent [46, 47] Arrangements bzw. der 
Verfiigbarmachung von Daten ohne enge Zweckbindung [6] verwendet. Dieser 
Begriffsverwendung scheint zugrunde zu liegen, dass Spenden und weite Einwil- 
ligung aufgrund einer in beiden Fallen vorliegenden willentlichen Aufgabe von 
Kontrolle parallelisiert werden können. Dies ist jedoch keineswegs notwendig. 
Konzeptionell spricht nichts gegen eine Datenspende, bei der Spender fortwäh- 
rend iiber Verwendungsmöglichkeiten informiert blieben und bestimmen könnten, 
fir welche Zwecke und bis wann ihre Daten verarbeitet werden. Bei der Ent- 
scheidung zu Geben gibt es zwischen dem Bestehen auf vollkommene Kontrolle 
und der völligen Aufgabe jeglicher Anspriiche rund um das Gegebene ein Spek- 
trum, in dem bestimme Erwartungen an Verwendungskontexte bestehen bleiben, 
ohne dass die Gabe dadurch unterminiert wird. Es liegt sogar nahe, dass Elemente 
der Stiftung, Widmung und symbolischen Aufladung des Gegebenen hinreichende 
Informiertheit und Kontrolle tiber Verwendungskontexte gerade voraussetzen. Das 
gegebene Gut im Falle der Datenspende könnte beispielsweise in dem zeitlich 
befristeten sowie zweckgebundenen Zugang zu den Daten bestehen [42]. So 
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verstanden steht auch die prinzipielle Möglichkeit, Daten zuriickzuziehen, der 
Datenspende nicht entgegen. 


1.6 — Strukturbedingungen von Datensouveränität 


Als Ergebnis der bisherigen Erörterung kann festgehalten werden, dass Daten- 
souveränität mindestens zwei Aspekte umfasst. Zum einen hat Datensouveränität 
eine abwehrrechtliche Dimension, die primär den Schutz von Persönlichkeits- 
rechten und die Bewahrung von Freiheitsvollziigen betrifft. Zum anderen ist 
mit Datensouveränität der Anspruch verkniipft, Daten verfiigbar machen zu kön- 
nen. Datensouveränität umfasst die Befähigung des Individuums, Abwägungen 
zwischen diesen Aspekten vorzunehmen und umzusetzen. Dafiir ist die Kon- 
trollierbarkeit von Daten zentrale Voraussetzung. Ein Punkt, an dem eine solche 
Abwägung besondere Bedeutung bekommt, ist die Einwilligung in die Verwen- 
dung von personenbezogenen Gesundheitsdaten zu Forschungszwecken. Als eine 
Möglichkeit dies umzusetzen, werden im Folgenden unterschiedliche Formen 
der Einwilligung untersucht und beleuchtet. Wir werden dabei aufzeigen, warum 
und wie ein Dynamic Consent eine Möglichkeit darstellt, Kontrollierbarkeit und 
Gemeinwohl zusammenzudenken. 

Die Kontrollierbarkeit von Daten ist dabei eingebettet in und angewiesen 
auf soziale Aushandlungsprozesse. Erstens können wie eingangs erwähnt ver- 
schiedene Akteure Ansprüche auf Datensouveränität erheben, die nicht immer 
spannungsfrei miteinander in Beziehung stehen und daher nach Aushandlung 
verlangen. Zweitens ist individuelle Freiheitsgestaltung auf einen sozialen Gestal- 
tungsrahmen angewiesen. Um diesen Rahmen zu wahren und zu stärken, sind 
Abwägungen zwischen individuellem Kontrollanspruch und öffentlichem Inter- 
esse nötig. 

Schließlich wird Kontrollansprüchen nicht allein dadurch Genüge getan, dass 
sie als gültig anerkannt werden, sondern dass zugleich soziale und technische 
Strukturbedingungen zur Ermöglichung und Befähigung von Kontrolle über Daten 
vorhanden sind. Mit der Forderung nach Stewardship rund um Daten ist der 
Hinweis auf die Notwendigkeit eines nachhaltigen Umgangs mit Datenressour- 
cen durch umsichtige Formatierung, Strukturierung und Archivierung verbunden, 
um sie für gegenwärtige und zukünftige Entdeckungs- und Innovationsprozesse 
langfristig anschlussfähig und zugänglich zu machen [48, 49]. Dadurch kann der 
Grundstein für eine Reihe von potentiell nutzenbringenden Innovationen gelegt 
werden, beispielsweise eine verbesserte klinische Versorgung durch Informati- 
onsaustausch zwischen verschiedenen Kliniken und Ärzten, die Nutzbarmachung 
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von Daten aus der klinischen Versorgung fir die biomedizinische Forschung 
und die Entwicklung von Anwendungen maschinellen Lernens in Forschung und 
Versorgung. 

Auch wenn die Ausiibung der mit Datensouveränität in Anspruch genomme- 
nen Kontrollierbarkeit sich an konkreten Individuen und Situationen zeigt, kann 
sie nicht auf singuläre und lokale Entscheidungsmomente iiber die eigenen Daten 
verkiirzt werden. Erst vor dem Hintergrund bestimmter Strukturbedingungen wird 
die Wahrnehmung dieser Kontrollanspriiche möglich und gehaltvoll. Diese wer- 
den wir in Kap. 3 entlang vier interagierender Governance-Ebenen beleuchten. 
Den Grundstein bildet hierbei stets das Gesetz, konkret das Datenschutzrecht 
(siehe 3.1), das ausgehend von seiner aktuellen Ausgestaltung auch von einer 
Entwicklungsoffenheit gekennzeichnet ist, welche die Etablierung Datensouve- 
ränität stiftender Mechanismen wie insbesondere den Dynamic Consent (siehe 
Kap. 2) ermöglicht. Wie bereits erwähnt reicht Datensouveränität aber auch iiber 
seine gesetzlich festgeschriebenen Strukturbedingungen hinaus und verwirklicht 
sich auch und besonders in un- oder nur teils regulierter Selbstbindung (siehe 
3.2). Zudem bedarf es geeigneter technischer Strukturen sowie der Präsenz von 
Akteuren wie Datentreuhändern, die Datenfliisse im Sinne der Individuen steuern 
(siehe 3.3). Ferner ist auf Kompetenzen im Umgang mit Informationstechnologien 
sowie ein Bewusstsein um mögliche Formen von Datenverarbeitung mit Gesund- 
heitsrelevanz zu verweisen (siehe 3.4), die zur gehaltvollen Nutzung solcher 
Steuerungsmöglichkeiten nötig sind. 
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Dynamic Consent als 
Umsetzungsmechanismus von 
Datensouveranitat 


2.1 Die informierte Einwilligung als basales - und 
weiterhin zentrales — Legitimationsmodell des 
Datenschutzrechts 


Das Datenschutzrecht nutzt bekanntlich unterschiedliche Möglichkeiten, die Ver- 
wendung personenbezogener Daten zu legitimieren. Von besonderer praktischer 
wie konzeptioneller Bedeutung ist dabei die individuelle Einwilligung [50]. Sie 
bringt den verfassungsnormativ abgesicherten, im Grundrecht auf informationelle 
Selbstbestimmung (als spezielle Ausprägung des allgemeinen Persönlichkeits- 
rechts, Art. 1 Abs. 1 i. V. m. Art. 2 Abs. 1 GG) fundierten Gedanken zum 
Ausdruck, dass im Grundsatz die Datengeber selbst iiber die Preisgabe und 
Verwendung ihrer persönlichen Daten entscheiden [grdl. BVerfGE 65, 1 (43)]. 
Dabei bezieht sich die Einwilligung dem herkömmlichen datenschutzrechtlichen 
Denken zufolge auf einen vorab vergleichsweise präzise bestimmten Zweck 
der Datenverarbeitung. Der Betroffene soll wissen, fiir welche Verarbeitungs- 
prozesse er seine Daten zur Verfiigung stellt. Hieraus resultieren spezifische, 
sowohl das nationale wie das supranationale Recht prägende prozedurale Anfor- 
derungen: Damit die Betroffenen die konkrete Bedeutung und Tragweite der 
beabsichtigten Datenverwendung iiberblicken können, miissen datenschutzrecht- 
liche Einwilligungen insbesondere freiwillig, informiert und bestimmt erteilt 
werden [51]. Das steht namentlich allzu allgemeinen oder gar völlig offen 
formulierten (Blanko-)Einwilligungen entgegen. 

Dieses Einwilligungsverständnis liegt grundsätzlich auch der DSGVO 
zugrunde [52]. Sie definiert in Art. 4 Nr. 11 DSGVO die „Einwilligung“ 
der betroffenen Person zunächst eng zweckbezogen als „jede freiwillig für 
den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene 


© Der/die Autor(en) 2021 13 
P. Hummel et al., Datensouveränität, essentials, 
https://doi.org/10.1007/978-3-658-33755-1_2 


14 2 Dynamic Consent als Umsetzungsmechanismus von Datensouveränität 


Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen 
bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie 
mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstan- 
den ist.“ Art. 6 Abs. 1 S. 1 lit. a), 9 Abs. 2 lit. a) DSGVO sieht im Rahmen 
der RechtmäBigkeit der Datenverarbeitung allerdings die Option vor, dass die 
betroffene Person in die Verarbeitung der sie betreffenden personenbezogenen 
Daten „für einen oder mehrere bestimmte Zwecke“ einwilligen kann. Die DSGVO 
enthält insoweit eine interne Spannung, als sie einerseits an einer klaren Zweck- 
bestimmung festhält, andererseits aber in Erwägungsgrund 33 fiir die Forschung 
die Möglichkeit breiterer und multipler Zwecksetzungen thematisiert. Demnach 
sollte, soweit der Verarbeitungszweck zum Zeitpunkt der Erhebung der perso- 
nenbezogenen Daten nicht vollständig angegeben werden kann, ,,es betroffenen 
Personen erlaubt sein, ihre Finwilligung fiir bestimmte Bereiche wissenschaftli- 
cher Forschung zu geben, wenn dies unter Einhaltung der anerkannten ethischen 
Standards der wissenschaftlichen Forschung geschieht. Die betroffenen Personen 
sollten Gelegenheit erhalten, ihre Einwilligung nur fiir bestimmte Forschungs- 
bereiche oder Teile von Forschungsprojekten in dem vom verfolgten Zweck 
zugelassenen Mafe zu erteilen.* Letztlich verdeutlichen aber gerade diese, in 
ihrer konkreten Bedeutung umstrittenen Sonderbestimmungen, dass die DSGVO 
prinzipiell am traditionellen Einwilligungsmodell festhält. 

Es bedarf einer Neuorientierung des bestehenden datenschutzrechtlichen Rege- 
lungsmodells gerade dann, wenn die ihm zugrunde liegenden basalen Werte und 
Überzeugungen auch unter den Bedingungen von Big Data als bedeutsam ver- 
standen werden. Dies verlangt nach Governance-Ansätzen, einschließlich eines 
Rechtsrahmens, der angesichts rasanter und neuartiger Entwicklungen hinrei- 
chende Sicherheit und Zuverlässigkeit der Anwendungen gewährleistet, umge- 
kehrt aber auch angesichts der mit ihnen verbundenen Chancen hinreichend Raum 
zur Entfaltung lässt. Ein entscheidender Baustein hierfür stellt die Flexibilisierung 
des Einwilligungserfordernisses dar. 


2.2 Dynamic Consent als problemadäquate Lösung 


Die Einwilligung stellt im deutschen wie im europäischen Recht die wichtigste 
Voraussetzung (Erlaubnistatbestand) für den Umgang mit personenbezogenen 
Daten dar. Für Wissenschaft und Forschung gibt es jedoch Möglichkeiten, den 
Einwilligungsvorbehalt zu umgehen. So ist es unter bestimmten Umständen daten- 
schutzrechtlich zulässig, nicht nur opt-in-, sondern auch opt-out-Modelle zu 
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wählen, also Datenerhebungen und -nutzungen auf Basis gesetzlicher Erlaub- 
nisnormen durchzuführen. Dem liegt eine funktionale Beobachtung zugrunde: 
Mit Blick auf die Datenqualität und die Bedeutung möglichst vollzähliger 
Datensätze (Repräsentativität) kann ein zu umfassendes Einwilligungskonzept 
Probleme verursachen: Ein striktes Einwilligungserfordernis Kann die verfügbare 
Datengrundlage massiv reduzieren und ein großes Hemmnis für datenintensive 
Forschungsbereiche darstellen. Ersichtlich besteht ein Widerspruch zwischen der 
(Ideal-)Vorstellung einer — jedenfalls dem Grundansatz nach - freiwilligen Daten- 
übermittlung und dem gleichzeitigen Streben nach einer möglichst vollständigen 
und repräsentativen Datengrundlage (exemplarisch [53]). 

Ein Versuch mit diesem Dilemma umzugehen besteht darin, datenschutz- 
rechtliche Standards bereichsbezogen aufzuspalten: Während (Gesundheits-) 
Versorgung auf einem Informed oder Narrow Consent basiert, wäre in der For- 
schung ein Broad Consent oder gar eine von der Einwilligung gelöste Verwendung 
zulässig. $ 27 Abs. 1 BDSG erlaubt die Verarbeitung „für wissenschaftliche 
oder historische Forschungszwecke“ auch ohne Einwilligung und benennt in 
Abs. 3 eine prinzipielle Anonymisierungspflicht personenbezogener Daten als 
Voraussetzung. Das Gesetz für eine bessere Versorgung durch Digitalisierung und 
Innovation (Digitale-Versorgung-Gesetz — DVG) [Bundesgesetzblatt 2019, Teil I, 
Nr. 49, S. 2562] zielt ebenfalls darauf ab, Patientendaten pseudonymisiert auch 
unabhängig von einer individuellen Einwilligung für Forschungszwecke nutzen 
zu können. Wie in Kap. 1 skizziert, dürfte die nachhaltige Beseitigung von Perso- 
nenbezug allerdings durch neue technische Möglichkeiten der Re-Identifizierung 
erschwert sein. 

Wer grundrechtlich vorzugswürdig weiterhin primär auf ein einwilligungs- 
basiertes Regelungskonzept setzt (Opt-in-Modell) [54], muss nach komplexeren 
Mechanismen fragen, um Einwilligungsentscheidungen so treffen und sie gege- 
benenfalls auch delegieren zu können, dass fortlaufende Kontrolle ermöglicht 
wird. Das verdeutlicht, warum es attraktiv ist, das Modell eines Dynamic Con- 
sent [55-60] zu entfalten und kontextsensibel weiterzuentwickeln. Wir verstehen 
dabei den Dynamic Consent weniger als eine eigenständige dritte Variante, son- 
dern als einen prozedural erweiterten, die beiden an entgegengesetzten Polen 
befindlichen Formen (Narrow Consent und Broad Consent) aufnehmenden Spezi- 
alfall des allgemeinen Zustimmungsgedankens. Der Dynamic Consent zielt darauf 
ab, einen angemessenen Ausgleich zwischen unrealistisch engen Zweckbestim- 
mungen einerseits und bloßen Blankozustimmungen andererseits sicherzustellen. 
Dem Grundkonzept der engen, zweckgebundenen Einwilligung wird entsprochen, 
indem sie nicht einmalig vorab, sondern im Rahmen eines dynamischen und 
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ggf. iterativen Prozesses erhoben und integriert wird [57, 60]. Prozedural ver- 
langt dies ein komplexeres Kooperationsregime. Die Beteiligten müssen nicht 
nur punktuell, sondern längerfristig miteinander in Kontakt stehen. Das setzt 
eine entsprechende technische Infrastruktur voraus, mittels derer den Teilneh- 
mern regelmäßig unterschiedliche Optionen vorgelegt werden und sie entscheiden 
können, welche zusätzlichen Informationen sie benötigen und ob und für welche 
Projekte sie ihre Daten zur Verfügung stellen. Sie werden frühzeitig über die 
wesentlichen Parameter der konkreten Datennutzung (z. B. Eigenschaften und 
Ziele einer Bio- oder Datenbank, deren Finanzierung, das jeweilige Datenschutz- 
und Governance-Konzept, etwaige etablierte Kooperationen und Weitergabever- 
einbarungen) informiert und müssen dann ihre präferierte Einwilligungsvariante 
festlegen. Das Spektrum reicht dabei von der klassischen Variante einer sepa- 
raten Einwilligung für jedes Projekt (Narrow Consent) bis zu umfassenderen 
Lösungsansätzen, bei denen nicht nur in Einzelverwendungen, sondern in rela- 
tiv breite Verwendungskategorien eingewilligt werden kann (Broad Consent). In 
bestimmten Zusammenhängen und für bestimmte Bereiche könnte sogar eine 
Pauschalzustimmung (Blanket Consent) erteilt werden. Auch Kombinationen der 
verschiedenen Einwilligungsoptionen sind denkbar. 

Der Dynamic Consent erfordert aber zugleich, dass Individuen auch die 
Möglichkeit haben, auf Entwicklungen in der Nutzung von Daten zu reagie- 
ren. Eine unverzichtbare Ergänzung zu den vorab festgelegten Präferenzen, die 
dann von einem technischen System umgesetzt werden, ist die Möglichkeit 
für Individuen, Präferenzen zu ändern oder anzupassen. Ein so verstandener 
Dynamic Consent bildet einen überzeugenden Mechanismus, um in einem hoch- 
dynamischen Regelungsumfeld eine gegenstandsadäquate Kontrollierbarkeit und 
Output-Orientierung zu ermöglichen. Eine derartige Weiterentwicklung der Ein- 
willigung ist im Funktionszusammenhang der hier beschriebenen, übergreifenden 
Gestaltungs- und Regulierungsstrategie zu verstehen. Funktional ist das Ziel, 
weiterhin ein angemessenes Maß an Selbstbestimmung im Spannungsfeld von Pri- 
vacy und Gemeinwohl (z. B. durch Forschung) zu gewährleisten. In diesem Sinne 
geht es um einen situationsangemessenen Mittelweg zwischen kategorischem 
Forschungsvorrang und unrealistisch enger Zwecksetzung bei der Einwilligung. 

Der Dynamic Consent stellt zwar kein Allheilmittel dar; insofern ist es durch- 
aus berechtigt und notwendig, Kritik an allzu optimistischen Umsetzungsfantasien 
zu üben [61]. Zugleich schießt es aber über das Ziel hinaus, ihn per se abzulehnen 
und für unrealistisch zu erachten. Er kann durchaus einen funktional überzeugen- 
den Ansatz bilden, der nicht nur die Verfolgung der Ziele des Datenschutzes unter 
den Bedingungen von Big Data und KI erlaubt, sondern auch seinerseits offen ist 
für ergänzende Zusatzoptionen. Es wäre voreilig, einzelne Schutzmechanismen 
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isoliert zu betrachten und übertriebene Hoffnungen allein in sie zu setzen. „Des- 
wegen kann und muss die informierte Einwilligung [...] durch die Einbettung in 
einen Kontext mehrdimensionaler Regelungs- und Schutzmechanismen in ihrer 
Funktionsfähigkeit gestärkt werden“ [62]. Das zeigt sich besonders anschaulich 
etwa an der Verbindung von Dynamic Consent und Datentreuhandkonzepten. 


2.3 Dynamic Consent und Datentreuhänder 


Für eine robuste Umsetzung des Dynamic Consent bedarf es zugleich Delegati- 
onsmöglichkeiten. Der Einsatz sog. Datentreuhänder gehört zu den prominenten 
Vorschlägen, wie unter Big-Data-Bedingungen ein adäquater Datenschutz gewähr- 
leistet werden kann [63-65]. Datentreuhänder verwalten die ihnen anvertrauten 
Daten im Sinne der Präferenzen des Datensubjekts. Prinzipiell können individu- 
elle, aber auch kollektive oder gar gesamtgesellschaftliche Interessen durch den 
Treuhänder repräsentiert und umgesetzt werden. Es kann sich bei einem Treu- 
händer um menschliche Akteure handeln, etwa eine Biobank-assoziierte Ethik- 
kommission oder ein Governance Board, die auf Wunsch der Individuen Zugang 
zu Daten in Ihrem Sinne steuern. Besonders effektiv wird Dynamic Consent, 
wenn er nicht allein auf eine menschliche Kontrolle setzt, sondern mit spezifi- 
scher technischer Unterstützung — etwa in Gestalt spezieller Software-Agenten, 
die Nutzer-Präferenzen in Echtzeit umsetzen — kombiniert wird. 

Im Forschungskontext dient der Treuhänder zunächst dazu, pseudonymi- 
sierte/anonymisierte Datensätze weiterzuverarbeiten [66, 67]. Noch stärker ist der 
Begriff des Datentreuhänders datenschutzrechtlich geprägt, wenn darunter auch 
sog. „Einwilligungsassistenten“ verstanden werden. Hierbei überprüft der Treu- 
händer, ob die mit den Daten verbundenen generellen Verarbeitungspräferenzen 
der betroffenen Personen mit denen einzelner Verarbeitungsvorhaben überein- 
stimmen. In diesem Fall holt der Treuhänder eine Einwilligung ein oder gibt 
die Daten für das betreffende Vorhaben direkt frei und verwaltet gleichzeitige 
Widerrufs-/Widerspruchsoptionen (z. B. beim System CoMaFeDS, vgl. [68]). 
Befürworter solcher Einwilligungsassistenten versprechen sich so mehr Über- 
sichtlichkeit von Verarbeitungsprozessen [68], aber auch mehr Rechtssicherheit, 
da sie eine konzentriertere Überprüfung der Einwilligungserklärungen böten [68, 
69]. Ein Übergang zu einem technischen System der digitalen Selbstverwaltung 
des Einzelnen (Stichwort: PMT/PIMS [64]) ist dabei fließend [68]. Ein Beispiel 
dafür wäre etwa die elektronische Gesundheitskarte und die elektronische Patien- 
tenakte als Teil der Telematik-Infrastruktur des Gesundheitswesens: Hier sollen 
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die Karteninhaber gem. $ 291a V 2 SGB V unabhängig von konkreten Behand- 
lungsvorgängen auf für medizinische Behandlungen erhobene Daten gesammelt 
zugreifen und diese ggf. für weitere Datenverarbeitungsprozesse bereitstellen 
können [70]. 

Dieser zunächst eher technische Lösungsansatz lässt sich um drei Inter- 
pretationsweisen erweitern. Erstens um datenschutzrechtliche Fürsorgekonzepte. 
In diesem Modell ist es denkbar, dass der Treuhänder auch Datenverarbei- 
tungsvorhaben berücksichtigt, die (noch) nicht unmittelbar mit den Präferenzen 
der betroffenen Person korrespondieren und sie nach einer Bewertung anhand 
bestimmter datenschutzrechtlicher Prämissen der betroffenen Person vorschlägt 
[5, 71]. Hier treten entsprechend mehr Fürsorgemerkmale der Einwilligungs- 
assistenz zu Tage — und werfen entsprechend Haftungsfragen auf, falls die 
Bewertungen unzutreffend und somit auch wettbewerbsverzerrend ausfallen. 

Zweitens ist eine Einwilligungsassistenz vorstellbar, bei der der Datentreu- 
händer selbst die datenschutzrechtlichen Entscheidungen über ihm anvertraute 
personenbezogene Daten trifft. Hierbei unterstützt der Datentreuhänder das jewei- 
lige Datensubjekt bei der Verwirklichung der informationellen Selbstbestimmung, 
indem stellvertretend entlang der vorher bestimmten generellen Einwilligungsprä- 
ferenzen der betroffenen Personen deren datenschutzrechtliche Entscheidungen 
umgesetzt werden [72]. Insgesamt changiert die datenschutzrechtliche Einwilli- 
gungsassistenz des Datentreuhänders zwischen einer Art technisch optimiertem 
Erklärungsboten und einem Stellvertreter für die datenschutzrechtliche Einwilli- 
gung. 

Drittens ist ein vermögensrechtliches Verständnis des Begriffs des Datentreu- 
händers möglich. Meist unter Bezugnahme auf ein Dateneigentum wird hier über 
eine Art verwertungsgesellschaftliche Datentreuhänderschaft nachgedacht (anders 
hingegen [72, 73]). Bzgl. der Verwertung von Daten wird argumentiert, dass die 
immense passive Generierung von Daten gerade den Grundstein für die beson- 
ders gewinnbringenden Big-Data-Anwendungen bildet. Kurzum: Ein individueller 
Handel mit Daten als Wirtschaftsgut behebt nicht dessen eigentliches Problem 
der Machtasymmetrie [72, 74]. Bei der dabei angedachten Verwaltungsgesell- 
schaft „VG-Daten“ [75] (angelehnt an die bekannte VG-Wort) handelt es sich um 
eine Stelle, die mittels einer Bewilligung durch die ursprünglichen Rechteinhaber 
umfassende Verwertungsrechte an Daten erlangen soll. 

Zusammengefasst können mit „Datentreuhändern“ sowohl Aspekte techni- 
scher Zugriffsbeschränkung als auch digitaler Einwilligungsverwaltung adressiert 
werden. Die konkrete rechtliche Umsetzung ist derzeit noch nicht geklärt und 
setzt wohl gesetzliche Neuregelungen voraus — entsprechende Regelungsvor- 
schläge enthält nunmehr der Data-Governance-Vorschlag der EU-Kommission. 
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Im Ubrigen ermöglicht das bestehende Recht bereits Datentreuhänderschaft, die 
tiber ein digitales Netzwerk individuell generierter Datensammlungen Verarbei- 
tungspräferenzen der Betroffenen mit den Verarbeitungszwecken interessierter 
verantwortlicher Stellen abgleicht und dabei anfallende Treffer als Grundlage fiir 
nachfolgende gesetzlich- oder dezidiert einwilligungsbasierte Verarbeitungsvor- 
gänge bieten können. Auch hier sind aber gesetzliche Erlaubnistatbestände und 
insbesondere eine dynamisierte Einwilligung kombinierbar. 


2.4 Dynamic Consent und erweiterte Schutzperspektiven 


Ein wie oben präsentierter Dynamic Consent kann einen Rahmen bilden, inner- 
halb dessen eine transparenz- und gualitätsbezogene Rechenschaft von Ana- 
lyseergebnissen sowie kontextuell angepasste Erklärungen prozedural integrier- 
bar sind. Er bietet damit Möglichkeiten, kurrente Problembeschreibungen und 
-lösungsvorschläge aufzunehmen und umzusetzen: 

Der Einfluss unterschiedlicher Daten in verschiedenen, auch nicht antizipierten 
Verarbeitungskontexten gerade durch Big-Data-Analysen führt zu der Erkenntnis, 
dass sich eine gerechte Datenwirtschaft nicht nur auf bestimmte Dateninhalte oder 
nur einzelne Datensätze fokussieren kann (statt vieler [76]), wenn sie weiter frei- 
heitssichernd ausgestaltet sein soll. Uberlegungen zu einer sog. Group Privacy 
([24, 64], ähnlich [77]) verweisen auf die Schutzbediirftigkeit nicht nur individu- 
eller, sondern auch kollektiver Interessen. Die durch Big-Data-Analysen gewonne- 
nen und weiterverwendeten Korrelationsmuster betreffen und beeinflussen danach 
ganze Gruppen und nicht nur die darin zusammengefassten Individuen. Recht- 
lich lassen sich Korrelationsanalysen spätestens bei einem (Rück-)Bezug der 
gewonnenen Muster auf Vergleichsgruppen oder Einzelpersonen als datenschutz- 
rechtlich relevant ansehen [78, 79]. Insofern wiirden Korrelationsmuster bereits 
zum eigenständigen Objekt datenschutzrechtlicher Entscheidungs- oder Uber- 
priifungsprozesse und nicht nur jene Daten, die als Input zu ihrer Entstehung 
geführt haben. Sie könnten einem Right to Reasonable Inferences [80] unter- 
liegen, welches die in Art. 15 Abs. 1 lit. h) DSGVO statuierten Begriindungs- 
und Transparenzpflichten für automatisierte Entscheidungsfindungen für Konstel- 
lationen erweitert, in denen sich aus der Verwendung von Korrelationsmustern 
Risiken fiir einzelne Personen — als solche oder Teil einer Gruppe — ergeben. 
Solche basalen oder erweiterten Rechte könnten gerade auch Teil einer dyna- 
misierten Datenverwaltung sein, indem etwa eine regelmäßige Begründung und 
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Uberpriifung von korrelationsbasierten Schlussfolgerungen als persönliche Bedin- 
gung fiir eine primäre und sekundäre Datennutzung gesetzt wird oder indem die 
Datenfreigabe ab einem gewissen Begriindungsniveau angepasst wird. 

Zwei Punkte werden jedoch einer erweiterten Transparenz und Begriindung 
von Korrelationsanalysen regelmäBig entgegengehalten: Die berechtigten Inter- 
essen der Datenverarbeiter an der Geheimhaltung ihrer Analysemethoden und 
Algorithmen und der möglicherweise nur geringe Nutzen fir Datensubjekte durch 
eine technisch detaillierte Aufschliisselung sie betreffender Korrelationsmuster, da 
nicht davon ausgegangen werden kann, dass diese von jeder Person verstanden 
werden. Als Reaktion lieBen sich auch sog. counterfactual explanation [81] in 
eine dynamisierte Datenverwaltung integrieren. Danach werden nicht notwendi- 
gerweise die — unverständlichen oder zurecht geheimen — technischen Grundlagen 
der verwendeten Korrelationsmuster preisgegeben, sondern es werden die Verhal- 
tensweisen und Umstände erklärt, die zu dem begriindungsbediirftigen Ergebnis 
geführt haben und bei deren Adaption ein anderes Ergebnis zu erwarten ist. Dies 
böte dem Datensubjekt auch, ganz im Sinne der informationellen Freiheitsgestal- 
tung, die Möglichkeit, innerhalb von laufenden Datenverarbeitungsprozessen auf 
die zugrunde liegenden Parameter Einfluss zu nehmen. 
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Governance-Ansatze 


Wir haben argumentiert, dass Datensouveränität die Befähigung von Akteu- 
ren zu informationeller Freiheitsgestaltung durch Kontrolle der Verwendung sie 
betreffender Daten bezeichnet (Kap. 1). Im Anschluss haben wir den Dyna- 
mic Consent als Umsetzungsmechanismus von Datensouveränität vorgeschlagen 
(Kap. 2). Im Folgenden fokussieren wir vier miteinander in Wechselwirkung 
stehende Governance-Ebenen (siehe Abb. 3.1), auf denen Datensouveränität im 
deutschen Gesundheitssystem ermöglicht und gestärkt werden kann: Hard Law 
(3.1), Soft Law (3.2), Teilhabe (3.3) und IT (3.4). 


3.1 Hard Law 


Datensouveränität ist kein Rechtsbegriff, erfiillt aber auch und gerade in juris- 
tischer Perspektive eine wichtige heuristische Funktion, soweit er im positiven 
Recht bereits niedergelegte Grundentscheidungen aufnimmt und in einer bestimm- 
ten Funktionalität neu interpretiert. In diesem Sinne baut eine diesem Leitprinzip 
verpflichtete, umfassende Governancestrategie auf den gegebenen nationalen 
wie supranationalen Rechtsvorgaben auf. Darüber hinaus dient dieser hier als 
Hard Law bezeichnete Rechtsrahmen als kontinuierlicher Orientierungspunkt 
der weiterreichenden ethischen und auf das Soft Law bezogenen Uberlegun- 
gen; er verdeutlicht Anschlussmöglichkeiten wie Spannungen und zeigt auf, wo 
gegebenenfalls eine rechtspolitische Auseinandersetzung geboten ist. 


1. Verfassungsrechtliche Vorgaben weiterentwickeln: Das Datenschutzrecht 
besitzt eine verfassungsrechtliche wie einfachgesetzliche Basis. Es entspricht 
gerade dem Grundansatz des Bundesverfassungsgerichts zum ,,informationel- 
len Selbstbestimmungsrecht“, nicht starr an einem einmal in die Welt gesetzten 
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Ansätze und Empfehlungen zur Ermöglichung von Datensouveränität 


Konzept festzuhalten, sondern dieses so weiterzuentwickeln, dass seine Grun- 
dintentionen möglichst optimal verwirklicht werden können. Dem dient die 
Idee der Datensouveränität als informationelle Freiheitsgestaltung [6]. Ihr geht 
es gerade darum, unter den Bedingungen moderner Datenverarbeitung und 
-verwendung die basalen Ziele des Datenschutzrechts, namentlich einen Schutz 
der Bürger vor Macht- und Wissensasymmetrien und hierdurch bedingten 
Freiheitseinbußen, besser umzusetzen. 
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2. Europäische Interpretations- und Entwicklungsspielräume nutzen: Wesent- 
liche Vorgaben zum Datenschutz erfolgen auf EU-Ebene; sie können in 
einzelnen Bereichen national weiter spezifiziert werden. Die beschriebe- 
nen Herausforderungen der Freiheitsverwirklichung durch globale Big-Data- 
Anwendungen machen gleichzeitig nicht an Staatsgrenzen halt und lassen 
einen nationalen Alleingang wenig sinnvoll erscheinen. Allerdings sind, ers- 
tens, auch die Regelungen der DSGVO interpretations- und entwicklungsoffen. 
So bieten die gesetzlichen Privilegien verschiedener Verarbeitungskontexte in 
Art. 5 Abs. 1 lit. b), 89 Abs. 2, Abs. 3 DSGVO - eingedenk der Erwägungs- 
griinde 33 und 43 — Auslegungsansätze fiir die Praxis eines Dynamic Consent. 
Entsprechend könnten auch Big-Data-Analysen in diesen Kontexten auf einen 
Dynamic Consent gestitzt und damit in einem Datensouveränität fördernden 
Rahmen vollzogen werden. Zweitens sind rechtspolitische Impulse natiirlich 
auch auf der Ebene der EU prinzipiell möglich und sollten im Sinne einer 
stärkeren Output-Orientierung genutzt werden. 

3. Gesetzesgrundlage fiir Treuhandmodelle schaffen: Komplizierter erweist 
sich die Rechtslage — jedenfalls in Deutschland (exemplarisch fiir die Schweiz 
[82]) — hinsichtlich der Umsetzung von Datentreuhandmodellen, sofern diesen 
die Idee einer Stellvertretung bei datenschutzrechtlichen Erklärungen zugrunde 
liegt: Das Stellvertretungsrecht setzt eine rechtsgeschäftliche Handlung vor- 
aus, die im fremden Namen vorgenommen werden soll. Einwilligungen in 
Rechtseingriffe wie etwa die datenschutzrechtliche Einwilligung werden dem 
hergebrachten, primär abwehrrechtlichen Verständnis des Datenschutzrechts 
entsprechend wegen ihres Rechtfertigungscharakters nicht als Rechtsgeschäft 
eingeordnet [63]. Die hier angenommene Entwicklungsoffenheit des Daten- 
schutzrechts und seiner verfassungsrechtlichen Grundlagen führt indes dazu, 
dass flexiblere Mechanismen auch mit Blick auf die datenschutzrechtliche 
Stellvertretung angängig sind. Insbesondere kommt durch die kooperative und 
durch längerfristige Interaktionen bestimmte Prägung des Dynamic Consent 
ein rechtsgeschäftlicher und nicht bloß rechtfertigender Ausdruck zum Tragen. 
So ist es denkbar, dass — wenn das Datenschutzrecht nicht nur der Eingriffs- 
rechtfertigung in Bezug auf das informationelle Selbstbestimmungsrecht dient, 
sondern auch als rechtsgeschäftliches Regelungsregime angesehen wird — die 
datenschutzrechtliche Einwilligung auch im fremden Namen abgegeben wer- 
den kann. Die im Dynamic Consent enthaltenen Delegationsmöglichkeiten, 
fiir deren Möglichkeit wir bereits argumentiert haben, bilden dabei offensicht- 
liche Uberschneidungspunkte mit einer datenschutzrechtlichen Stellvertretung 


24 3 Governance-Ansätze 


durch Datentreuhänder, welche über eine bloß technische Assistenz hinausge- 
hen und auch Elemente der Stellvertretung, der Fürsorge oder der Verwertung 
umfassen. 

4. Korrelationsmuster als Regelungsgegenstand fokussieren: Eine denkbare 
Erweiterung des Schutzbereichs könnte zudem in der grundsätzlichen Aner- 
kennung von Korrelationsmustern als datenschutzrechtlich relevante Gegen- 
stände liegen. Spätestens bei einem praktischen Riickbezug von diesen Mus- 
tern auf einzelne Fälle, lassen sich nach der Rechtsprechung des EuGH diese 
Muster als personenbezogen und damit als datenschutzrechtlich relevant ver- 
stehen [83]. Aber auch schon davor sind Konstellationen denkbar, in denen 
diese Muster sich praktisch als „Sammeldaten“ im hergebrachten Sinne dar- 
stellen, die auf die Gruppe der Personen „durchschlagen“, von denen die 
Datenmengen ursprünglich erhoben wurden. Dies ermöglicht praktisch erst 
die oben präferierte Output-Orientierung datenschutzrechtlicher Mechanismen, 
da diese andernfalls für wesentliche freiheitsrechtliche Auswirkungen von 
Big-Data-Anwendungen blind blieben. 

5. Beschwerdemechanismen etablieren und ausbauen: Damit das Datensub- 
jekt seine Datensouveränität zeitnah und effektiv umsetzen kann, muss darüber 
nachgedacht werden, welche Beschwerdemechanismen etabliert und wie sie 
abgesichert werden sollen. Denkbare Optionen sind etwa: haftungsrechtli- 
che Sanktionsmechanismen, ggf. mit Beweislastumkehr; gestufte und sich 
verschärfende Rechenschafts- und Auskunftspflichten. Dabei könnte an beste- 
hende Rechenschaftsfristen wie in Art. 12 Abs. 3, 14 Abs. 3 lit. a) DSGVO 
angeknüpft werden, die eine adäquate Information spätestens innerhalb eines 
Monats einfordern. Ebenso enthält Art. 82 Abs. 2 DSGVO auf der individuel- 
len Haftungsebene bereits eine Beweislastumkehr. 


3.2 Soft Law 


Die Diskussion über das Datensouveränitätskonzept erschöpft sich nicht in der 
Frage nach seiner Hard-Law-Kompatibilität. Soft-Law-Mechanismen, die anders 
als das Hard Law nicht auf staatliche Sanktionen setzen, können ebenfalls dazu 
beitragen, die Ziele des Datensouveränitätskonzepts in unterschiedlichen insti- 
tutionellen Settings umzusetzen. Auszugehen ist dabei von den übergeordneten 
Zielen der Transparenz, Kontrollierbarkeit und Benutzerfreundlichkeit. In einem 
kompetitiven Umfeld erweist es sich zumal dann als Wettbewerbsvorteil die- 
sen Vorgaben zu entsprechen, wenn entsprechend informierte Datensubjekte (s. 
unten sub 3.3) nach ihnen verlangen. Über diese sich ohne (zentrale) Steuerung 
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vollziehenden Prozesse hinausgehend sind bewusste, aber nicht direkt (rechts-) 
verbindlich wirkende Einwirkungsformen denkbar. Das verweist auf das weite 
Feld von ko- und selbstregulatorischen sowie Soft-Law-Regelungen. Diese etwas 
vergröbernde Terminologie wird hier im Sinne einer analytischen Unterscheidung 
zum Hard Law verwendet — allerdings eingedenk der Tatsache, dass binäre Sche- 
mata unterkomplex und gerade die Kooperations- und Uberschneidungsformen 
von besonderem Interesse sind [84]. 


6. Vielgestaltigkeit des soft law nutzen: Diese Governance-Ebene umfasst frei 
und ungeplant entwickelnde „spontane Ordnungen“, aber auch fest umrissene 
und zumindest partieller staatlicher Aufsicht unterliegende Normen. Teilweise 
steht der informatorische Gehalt im Vordergrund, teilweise wird auf frei- 
willige Befolgung, teilweise (zusätzlich) auf Sanktionsmaßnahmen gesetzt. 
Manche Steuerungsmechanismen erzeugen wirtschaftlichen Druck oder nut- 
zen umgekehrt spezifische Incentives. Mit anderen Steuerungsmechanismen 
wird mehr oder weniger bewusst auf staatliche Steuerungsleistungen Bezug 
genommen bzw. sie werden durch hoheitliches Recht rezipiert (z. B. durch 
Verweisungen) und damit in Rechtsverbindlichkeit überführt. Durchgängig 
vorhandene oder auch nur dominante Ordnungsmuster sind a priori nicht 
auszumachen; augenfällig sind vor allem die Vielzahl, Vielfalt und Ausdif- 
ferenziertheit der Regelsetzung. Das sollte im Sinne eines Varianz als Stärke 
wahrnehmenden Regelungspluralismus genutzt werden. 

7. Zertifizierungsstrukturen der DSGVO einbeziehen: Zertifizierung und 
Akkreditierung stellen im modernen Verwaltungsrecht durch die Verschrän- 
kung staatlicher/hoheitlicher und privater/wirtschaftlicher Handlungsbeiträge 
adäquate Werkzeuge dar. Bekannt ist das etwa aus den inhaltlich wie strukturell 
sehr disparaten Bereichen des Wissenschafts- und des Produktsicherheits- 
rechts. Es hat aber spätestens mit den Art. 42 f. DSGVO auch für den 
Datenschutz eine erhebliche (gerade auch im internationalen Kontext inten- 
siv diskutierte) Bedeutung erlangt [85]. Im Grundsatz geht es hierbei um 
eine extern, aber nicht notwendig staatlich/hoheitlich überprüfte und nach 
außen kenntlich gemachte — etwa durch Datenschutzsiegel und -prüfzeichen 
— Normbefolgung. Charakteristisch ist die freiwillige Mitwirkung, wobei aber 
gleichzeitig klar ist, dass eine erfolgte Zertifizierung von Rechts wegen mit 
deutlichen Vorteilen verbunden wird. Grundlegend in der DSGVO geregelt, 
wird der Kommission die Möglichkeit eingeräumt, verbindliche Detailvorga- 
ben in „Durchführungsrechtsakte[n] über technische Standards und Mechanis- 
men zur Förderung und Anerkennung von Zertifizierungen“ (Art. 43 Abs. 9 
DSGVO) zu regeln. Typisch für eine Koregulierungssituation ist es, dass 
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zur Zertifizierung nicht allein die Aufsichtsbehörden berufen sind. Stattdes- 
sen geniigt es, wenn diese informiert werden, aber im Ubrigen (private) sog. 
Zertifizierungsstellen tätig werden, die gemäß Art. 43 Abs. 1 DSGVO „über 
das geeignete Fachwissen hinsichtlich des Datenschutzes verfügen“ müssen. 
Ersichtlich wird damit ein breites Spektrum an möglicher Zertifizierung abge- 
deckt, wobei sie gleichzeitig einer qualitativen Kontrolle nach Art. 42 Abs. 5 
DSGVO unterliegt. 

8. Zertifizierungsstrukturen ausbauen: Die von der DSGVO angesprochenen 
„datenschutzspezifischen Zertifizierungsverfahren“ beziehen sich ausdrücklich 
darauf „nachzuweisen, dass diese Verordnung bei Verarbeitungsvorgängen von 
Verantwortlichen oder Auftragsverarbeitern eingehalten wird“ (Art. 42 Abs. 1 
DSGVO). Deshalb ist es keineswegs ausgeschlossen, das Zertifizierungsmodell 
nutzbar zu machen, um über die rechtlichen (Mindest-)Maßgaben hinausge- 
hende, namentlich dem Souveränitätsmodell verpflichtete, Verhaltensregeln zu 
implementieren. 

9. Zusätzliche Repräsentationsformen für Datensubjekte erschließen: Treu- 
handkonzepte können auch dazu verwendet werden, Interessen zu aggregieren, 
um bestehende Machtgefälle in der Datenwirtschaft zu kompensieren. Es 
bestehen dabei auch Wechselbeziehungen zu den beschriebenen Zertifizie- 
rungsmechanismen [65]. Daneben sind im „Raum des Unverbindlichen“ auch 
zusätzliche repräsentative Partizipationsformen denkbar, die nicht dazu dienen, 
die konkrete Datenhandhabung zu steuern, sondern die Betroffenen auf einer 
abstrakteren Ebene ansprechen und so eine Möglichkeit bieten, Interessen zu 
artikulieren und damit gleichzeitig den Ideenwettbewerb zu befördern. 


3.3 Teilhabe 


In Kap. 2 haben wir vorgeschlagen, Datensouveränität durch Dynamic Consent 
zu implementieren. Neben technischen Erfordernissen erwachsen daraus auch 
Anforderungen an das Wissen und die Kompetenzen der Subjekte, deren Entschei- 
dungen durch Dynamic Consent artikuliert werden. Der Dynamic Consent als 
Lösungsstrategie erscheint vor allem deswegen attraktiv, weil er den Individuen 
fortwährend erlaubt, ihre Präferenzen über geeignete technische Infrastrukturen in 
die Tat umzusetzen. Für eine solche selbstbestimmte Umsetzung und Gestaltung 
sind unterschiedliche individuelle wie soziale Formen von Teilhabe nötig. Diese 
je nach Entscheidungs- und Handlungskontext unterschiedlich durch Hard Law, 
Soft Law oder reine Empfehlungen umzusetzenden Teilhabe-Formen werden im 
Folgenden skizziert: 


10. 


11. 
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Öffentlichen Diskurs zum Umgang mit Datenressourcen fähren: Daten- 
souveränität als ein zugeschriebener Status verweist darauf, dass ein aus- 
schließlich individualistischer Ansatz zu kurz greift. Statt lediglich von Bil- 
dungsprozessen auf der individuellen Ebene auszugehen, verweist sie darüber 
hinaus auf die Ebene der Formierung eines gesellschaftlichen Willens um 
die Aushandlung von Ansprüchen an Daten und deren Verwertung. Wie im 
Zusammenhang mit der Figur des Dateneigentums angedeutet, sind Spannun- 
gen zwischen individuellen Ansprüchen und Ansprüchen der Allgemeinheit 
denkbar. Auf beiden Ebenen werden berechtigte Interessen artikuliert, denen 
nicht immer gleichzeitig gefolgt werden kann. Die Klärung der Frage, welche 
Ansprüche als gerechtfertigt gelten und welche letztlich wie Vorrang zu neh- 
men haben, bedarf eines gesamtgesellschaftlichen Diskurses und Reflexions- 
prozesses. In ihm wäre zu klären, ob und wie individuelle Ausschlussrechte 
und Freiheitsvollzüge zusammengedacht werden können mit der Verwertung 
gesellschaftlich potentiell nützlicher genomischer Daten, Bewegungsprofile, 
Social-Media-Daten und anderer Datensorten, deren Analyse die öffentliche 
Gesundheit langfristig stärken können. Die Befähigung zur verantwortlichen 
Verwertung von Daten ist nicht nur entlang individualethischer, sondern auch 
auf gesellschaftlicher Ebene zu denken. 

Gerechte Verteilung von Nutzen und Risiken aushandeln: Die Einführung 
und Nutzung von Big Data im Gesundheitsbereich wird sich kaum zurück- 
drehen lassen. Das wäre auch wenig sinnvoll, denn die Nutzung von Big Data 
kann zu einer Verbesserung der Gesundheitsversorgung führen. Zugleich darf 
nicht verkannt werden, dass auch in diesem Bereich in den letzten Jahren 
der gesellschaftliche Nutzen und die möglichen Risiken ungleichmäßig ver- 
teilt waren. Allzu schnell wurden Daten als das neue Gold/Öl des digitalen 
Zeitalters oder anderweitig zu verwertende Ressource verstanden, ohne dass 
zugleich eine Idee davon implementiert wurde, wie auch die breite Zivil- 
gesellschaft von den Ergebnissen und Errungenschaften profitieren kann. Es 
bedarf dringend rigoroser Forschung, die verschiedene Disziplinen und Per- 
spektiven einbezieht, um uns dabei zu helfen, die kurz- und langfristigen 
Auswirkungen der Nutzung von Big Data in sozialen und wirtschaftlichen 
Institutionen zu messen und zu verstehen. Nur wenn sichergestellt ist, dass 
Teilhabe nicht nur die Beteiligung an Diskussionen, sondern auch eine 
ökonomische Teilhabe beinhaltet, wird sich auf lange Sicht gesellschaft- 
liches Vertrauen in Big-Data-Anwendungen, beteiligte Organisationen und 
öffentliche Institutionen aufrechterhalten lassen. 

Digitale Gesundheitskompetenz: Als eine Komponente digitaler Gesund- 
heitskompetenz [86] sind Informationsangebote für Patienten und potentielle 
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Teilnehmerinnen an datenintensiver Forschung und Versorgung essentiell. 
Dies gilt nicht weniger in Zeiten, in denen sich Patientinnen einerseits 
im Internet selbst informieren, andererseits mit wenig Hintergrundwissen 
Online-Angeboten und klinischen Anwendungen mit hohem Komplexitäts- 
grad gegeniibertreten. Bei der gemeinsamen Einordnung von Big-Data- 
basierten Hypothesen ist der Grundstein durch ein zumindest implizites 
Verständnis von fiir Big Data charakteristischen Konzepten und Mechanismen 
zu legen. Benötigt wird ein Diskussionsrahmen, in dem sowohl Klarheit tiber 
grundlegende Begriffe besteht als auch die Ausgestaltung und Priorisierung 
bestimmter Gesundheitskompetenzen in institutionellen Settings debattiert 
werden können. 

13. Medizinisches Personal in der Aufklärung zu datenintensiven Anwen- 
dungen schulen: Auch die Ausbildung des medizinischen Fachpersonals 
bedarf der intensivierten Beriicksichtigung von kommunikativen Heraus- 
forderungen, die bei der Vermittlung des Umfangs der Datenverarbeitung, 
eventuellen Risiken sowie den Ergebnissen datenintensiver Anwendungen 
auftreten können. AnschlieBend an die positiv-partizipativen Aspekte von 
Datensouveränität umfasst dies die Bewusstseinsbildung fiir Möglichkeiten 
zur Teilnahme an Forschung, zum Beispiel in Form der oben beschriebenen 
Datenspende. Diskutiert wird in diesem Zusammenhang die neu zu schaf- 
fende Rolle von health information counsellors [87], die Expertise in IT, 
Statistik, Recht und Kommunikation vereinen und somit als Bindeglied zwi- 
schen Patientin und datenintensiver Klinik fungieren könnten. In dieser Rolle 
wiirden sie Informationen filtern, fiir medizinische Laien verständlich und 
so fiir Arzt-Patientengespräche anschlussfähig machen, die das Ideal eines 
shared-decision making [88, 89] verfolgen. 
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Datensouveränität erfordert technologische Infrastruktur, um Möglichkeiten zur 
Kontrolle auch konkret umzusetzen. Das bedeutet im Umkehrschluss nicht, dass 
jede technische Möglichkeit auch wirklich einen Teil zur Lösung beitragen kann. 
Ebenso wenig wäre es sinnvoll oder zielführend, im Sinne eines technologischen 
Solutionismus [90] allein technologische Lösungen zu fokussieren. Vielmehr 
muss gerade ausgehend von den bisherigen Überlegungen zur Datensouveränität 
als einem normativen Ankerkonzept geprüft werden, wie ein Dynamic Consent 
zwischen Datengebern, -nutzern und -verarbeitern technisch so gestaltet werden 
kann, dass Individuen eine tatsächliche Kontrollmöglichkeit erhalten. 
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Stewardship etablieren: Mit Stewardship rund um Datenbestände ist deren 
verantwortliche und nachhaltige Verwaltung und Pflege angesprochen. Durch 
diesen Umgang können die von Individuen anvertrauten Daten fiir Forschung 
und Versorgung nutzbar gemacht und gehalten werden. Damit dies gelingt, 
ist die Erfiillung bestimmter technischer Voraussetzungen erforderlich. So 
artikulieren beispielsweise die FAIR-Leitprinzipien [49] Gitekriterien fiir 
wissenschaftliche Daten mit dem Ziel, sie fiir Erkenntnis- und Innovati- 
onsprozesse zugänglich zu machen: Daten sollten zunächst fiir interessierte 
Wissenschaftler auffindbar (findable) sein. Ferner sollten Daten zugänglich 
(accessible) sein. Dazu bieten sich die Nutzung und Verfiigbarmachung 
von Metadaten und Identifikatoren sowie die Verwendung standardisierter 
Protokolle in der Datenverarbeitung an. Schließlich sollten Daten inter- 
operabel (interoperable) sein. Damit ist die Beschaffenheit von Systemen 
gemeint, Information austauschen und nutzen zu können. Sie hat sowohl 
technische (z. B. die Verfiigbarkeit von Schnittstellen), syntaktische (z. B. 
Format und Struktur der Daten), semantische (z. B. verwendete medizinische 
Konzepte) und organisationale (die Nutzbarmachung von Informationsaus- 
tausch in organisationalen Workflows) Aspekte [91]. Durch informative 
Beschreibung, transparente Zugangslizenzen und die Ubereinstimmung mit 
sektorspezifischen Formaten und Standards sollen Daten ferner för andere 
Forschungsaktivitäten wiederverwendbar (reusable) sein. 

Weitere Giitekriterien von Datenformaten und Datenverarbeitungssys- 
temen definieren: Angesichts sich stetig wandelnder Wissens- und For- 
schungsprozesse erscheint es unwahrscheinlich, dass sich Anforderungen an 
Datenformate dauerhaft festschreiben lassen. Neben der Ubereinstimmung 
mit Gitekriterien bedarf es eines kontinuierlichen wissenschaftlichen und 
gesellschaftlichen Diskurses (siehe Empfehlung 11) iiber die Bewertung die- 
ser Kriterien und ggf. die Notwendigkeit, sie zu modifizieren, kontextsensitiv 
zu spezifizieren und um weitere Gütekriterien zu ergänzen. 

Robuste Architekturen zur Umsetzung von Stewardship fordern und 
fördern: Angesichts sich immer wieder ereignender Datenlecks und Hacke- 
rangriffe, beispielsweise kürzlich im Zusammenhang mit einer umfangrei- 
chen Datenbank von psychiatrischen Behandlungen im finnischen Gesund- 
heitssystem [92], ist die Bedeutung robuster Sicherheitsarchitekturen nicht 
hoch genug einzuschätzen. Verschlüsselungstechnologien und dezentralisierte 
Speicherung sind dabei nur zwei Beispiele für Optionen, die sich zum 
Verfolgen dieser Ziele als hilfreich erweisen Könnten. 
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Kontrollierbarkeit bereits bei der Konzeptualisierung von datenverarbei- 
tenden Systemen fokussieren: Wenn Autoren bei der Gestaltung datenin- 
tensiver Systeme von Ethik [93] oder Privatheit [94] by design oder der 
Einbettung von Ethik in den Innovationsprozess sprechen, so ist der Gedanke, 
diese nicht im Nachhinein oder bei der Ausrollung einer Technologie in den 
Blick zu nehmen, sondern schon bei der Konzeption und Entwicklung als 
zentralen Gesichtspunkt zu berücksichtigen, sodass sie im Idealfall by default 
bestimmte Kriterien erfüllen. 

Überprüfbarkeit von Übereinstimmung mit Gütekriterien ermöglichen: 
Die Umsetzung von Gütekriterien und Benchmarks für Zielgrößen wie 
Robustheit und Kontrollierbarkeit sollte für die beteiligten Akteure überprüf- 
bar und nachvollziehbar sein. Durch obligatorische Evaluationen und Audits 
könnten Qualitätsstandards sowohl eingefordert als auch sichtbar gemacht 
werden. Erst durch Überprüfbarkeit kann Fehlverhalten problematisiert, Ver- 
antwortlichkeit zugeschrieben und die Erarbeitung konstruktiver Lösungen 
vorangetrieben werden. 

Systemdesigns zur Ausübung von Dynamic Consent implementieren: Auf 
der Ebene der Architektur von Datenverarbeitungssystemen setzt Datensou- 
veränität technische Mechanismen zur Umsetzung von Kontrollierbarkeit 
voraus, die es Nutzerinnen erlauben, Datenströme durch Dynamic Con- 
sent (siehe Kap. 2) zu steuern. Gemeint sind damit Systeme, die Daten 
entsprechend den Erwartungen der Nutzerinnen schützen, den Nutzerinnen 
erlauben, in verschiedene Arten und Zwecke der Verarbeitung einzuwilli- 
gen und den Zugang zu einmal verfügbar gemachten Daten auf Wunsch 
wieder zu beschränken. Eine Grundvoraussetzung ist dafür zunächst, Gesund- 
heitsdaten in digitaler Form für das jeweilige Individuum zugänglich und 
handhabbar zu machen. Im Anschluss bedarf es zur Umsetzung des Dynamic 
Consent benutzerfreundlicher Interfaces zur Kontrollierbarkeit von Zugang, 
Verarbeitung und Rückholung. 

Technologische Formen von Treuhänderschaft weiterentwickeln: Techno- 
logische Treuhänder bringen die datenbezogenen Präferenzen der Individuen 
in Verarbeitungsprozesse ein. Zu diesem Zweck sind Architekturen nötig, 
welche Präferenzen über benutzerfreundliche Schnittstellen erheben und den 
Erwartungen der Individuen an Zugang und Verarbeitung ihrer Daten genü- 
gen. Ob eine technologische Form von Treuhänderschaft gelingt, hängt 
jedoch auch von weiteren Faktoren ab. Als ein Beispiel sei auf Modelle ver- 
wiesen, in denen Blockchain zur Kontrollierbarkeit von Gesundheitsdaten in 
Forschung [95] und Versorgung vorgeschlagen wird [96-98], zum Beispiel 
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indem Finwilligung in Datenverarbeitung sowie Parameter wie deren Zweck- 
bindung in der Blockchain protokolliert und Zugriffe nur in Ubereinstimmung 
mit diesen Vorgaben ermöglicht werden. Auf den Hype um Blockchain- 
Technologie ist aber auch der Vorbehalt gefolgt, dass sie ein Buzzword und 
ihre Implementierungen komplex und ressourcenintensiv sei. Ferner darf die 
Tatsache, dass in der Blockchain durch kryptographische Methoden die Struk- 
tur des Systems selbst fiir die Integrität von Transaktionen biirgt nicht dartiber 
hinwegtäuschen, dass menschliche Akteure tiber Gestaltung, Zugang und Ein- 
satz des Systems bestimmen. Das Gelingen technologischer Treuhänderschaft 
hängt somit neben der Wahl der Technologie selbst nicht zuletzt davon ab, ob 
und wie Debatten zur Modifikation eines Systems und dessen Einsatz zuge- 
lassen und Machtasymmetrien vermieden werden. Sofern sich Anwendungen 
im Rahmen solcher Prozesse als tragfähig erweisen, stellen sie hilfreiche 
Instrumente zur Umsetzung von Datensouveränität dar. 

Datenagenten implementieren: Um Kontrollierbarkeit technisch umsetzbar 
zu machen, sind Schnittstellen und Software-Agenten in und an datenverar- 
beitenden Systemen zu implementieren, anhand derer ein Dynamic Consent 
des Individuums wirksam eingebracht werden kann. Personal Information 
Management Systems (PIMS) bieten den Nutzern beispielsweise differenzierte 
Steuerungsmöglichkeiten in Bezug darauf, welche Verarbeiter zu welchen 
Zwecken Zugang auf ihre Daten erhalten. Solche Ansätze können gewinn- 
bringend mit weiteren Anforderungen an Systemarchitekturen kombiniert 
werden. So gehört es zum Ansatz des sog. Personal Health Train, dass 
Daten nicht weitergegeben, sondern Verarbeitungsprozesse vor Ort in sicherer 
Umgebung durchgefiihrt werden [99], verbunden mit differenzierten Kontroll- 
möglichkeiten fiir die Datensubjekte via Software-Agenten oder ,,Broker“, 
mittels derer sie die Freigabe steuern können [100]. 

Anwendungskontexte bei der Beurteilung datenintensiver Systeme kon- 
tinuierlich berücksichtigen: Auch wenn ethische und rechtliche Gesichts- 
punkte im Design-Prozess eines Systems beriicksichtigt wurden, ist fortwäh- 
rende Reflexion in konkreten Anwendungssituationen nötig, um den konkre- 
ten Bedeutungsgehalt der in Kap. 1 dargestellten Aspekte von Datensouverä- 
nität zu erörtern. So kann beispielsweise Privatheit eng als negativ-protektiver 
Anspruch [27] oder weiter als die Ubereinstimmung von Datenströmen mit 
kontextuellen Normen und Erwartungen [101] verstanden werden. Im erst- 
genannten Sinn kann die Beschränkung von Zugang und Verarbeitung by 
design fiir bestimmte Anwendungskontexte vollkommen angemessen sein, 
wohingegen in anderen — wie in der oben angesprochenen Möglichkeit 
zur Datenspende — gerade mehr gefordert ist, und zwar nicht nur ein 
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Recht allein gelassen zu werden durchzusetzen, sondern dariiber hinaus 
differenziert-kontrollierbar Daten mit anderen zu teilen. 

Die Datenethikkommission der Bundesregierung hat vorgeschlagen, algo- 
rithmische Systeme in fiinf sogenannte Kritikalitätsstufen zu sortieren, die 
sich aus dem „Schädigungspotential“ der Systeme ableiten lassen und in 
einer „Kritikalitätspyramide“ visualisiert sind [102]. Stufe 2—4 sollen dabei 
bereichsspezifisch reguliert und Stufe 5 verboten werden. Das kirzlich 
erschienene ,,Proposal for a Regulation on a European approach for Arti- 
ficial Intelligence“ [105] der Europäischen Kommission arbeitet mit einem 
ähnlichen Kritikalitätsmodell. Einem algorithmischen System ein Schädi- 
gungspotential zuzuschreiben wirft die Herausforderung auf, dass Funkti- 
onsweisen und Effekte eines Systems schwerlich in abstracto fassbar sind. 
Der Grad an möglichem Schaden oder Nutzen ergibt sich zumeist erst bei 
der Implementierung des Systems in praktische Vollzüge sowie seiner Konfi- 
guration zur Bearbeitung eines bestimmten Problems [103, 104]. Schaden 
und Nutzen hängen also nicht alleine am algorithmischen System selbst, 
sondern zumindest ebenso an dem konkreten Anwendungskontext, der zeitli- 
chen Dauer der Anwendung, den Kontrollmöglichkeiten und den Formen der 
Zustimmung oder Ablehnung. Mit Datensouveränität und dem Hinweis auf 
Output-Orientierung wird genau dies betont. 
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Was Sie aus diesem essential 
mitnehmen können 


e In diesem Beitrag wurde Datensouveränität untersucht und als normatives 
Ankerkonzept mit Individualfokus und Grundrechtsbezug auf den Gesund- 
heitsbereich angewandt. 

e Datensouveränität meint die Befähigung von Akteuren zur Wahrnehmung 
von Kontrollanspriichen rund um die Verwendung sie betreffender Daten. 
Fiir datensouveräne Akteure soll kontrollierbar bleiben, wer Zugriff auf diese 
Daten hat, zu welchen Zwecken sie von wem verarbeitet werden diirfen, und 
vor allem wie Zugang und Verarbeitung die Freiheitsvollziige der Akteure 
beeinflussen. 

e Zur Ermöglichung von Datensouveränität im Gesundheitsbereich entfalten 
wir die folgenden Steuerungs- und Strukturelemente: Dynamic Consent, den 
Schutz eigener Daten, die Implementierung von Datentreuhändern sowie die 
Ermöglichung der Datenspende. 

e Datensouveränität erfordert multidimensionale Regelungsansätze auf verschie- 
denen Governance-Ebenen. Wir formulieren insgesamt 22 Empfehlungen fiir 
die Bereiche Hard Law, Soft Law, Teilhabe und IT. 
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